De nieuwste variant van de beruchte TLD-rootkit verminkt Windows 7 systemen op zo'n manier dat ze onbruikbaar worden. Sinds enige tijd kon de rootkit ook 64-bit versies van Windows 7 infecteren, waarop Microsoft met een update kwam die dit moest voorkomen. De ontwikkelaars van de malware ontwikkelden een nieuwe variant die de Microsoft patch omzeilde. De nieuwste versie die anti-virusbedrijf Symantec testte blijkt de nodige bugs te bevatten.

Zodra de rootkit op het systeem komt, vraagt het via User Account Control om als administrator te worden uitgevoerd. Staat de gebruiker dit toe, dan wordt het systeem meteen herstart, omdat de rootkit alleen de beveiliging tijdens het opstarten kan omzeilen. De systeemlader detecteert echter de aangebrachte wijzigingen en start vervolgens Systeemherstel. Het kijkt hierbij niet naar de Master Boot Record (MBR), omdat het verwacht dat alleen bestanden zijn aangepast.

DOS-tijdperk
Dit proces herhaalt zich tijdens het opstarten, omdat de besmette MBR zich dan weer laadt. Alleen dan faalt de reparatie. "Het goede nieuws is dat de dreiging niet kan worden uitgevoerd. Het slechte nieuws is dat het systeem onbruikbaar is", zegt Mircea Ciubotariu. "Dit doet me denken aan het DOS-tijdperk, toen er nog geen hardwarematige-bescherming was. Dit zorgde voor een 'eerlijk' gevecht tussen malware en virusscanners, waarbij de eerste die geladen werd meestal de winnaar was."

Op dit moment heeft malware nog steeds een goede kans om geladen te worden, aangezien zelfs de modernste besturingssystemen nog vanuit 16-bit mode starten. Dit kan echter worden voorkomen door alleen gesigneerde code vanuit de BIOS te laden, besluit Ciubotariu.